"수출하려면 SBOM 갖춰라"…공급망 보안 구축 8개사 해외 사업 탄력 작성일 06-25 38 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">KISA, 사례집 산업별 배포·내년 지원사업 확대</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="8EbaN78ByY"> <figure class="figure_frm origin_fig" contents-hash="7020a885e325094841b6a5126471019ca71be86e3a80cad8747c7da309438d7e" dmcf-pid="6DKNjz6bvW" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/25/552796-pzfp7fF/20260625162825374pqus.jpg" data-org-width="640" dmcf-mid="4Nuin39UlG" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/25/552796-pzfp7fF/20260625162825374pqus.jpg" width="658"></p> </figure> <p contents-hash="e8754f6c06a76c40b48b633f2c477a48091bb2bb8e71850aebc2fe737242a864" dmcf-pid="Pw9jAqPKSy" dmcf-ptype="general">[디지털데일리 박재현기자] <strong>"SBOM 중심의 공급망 보안은 단순한 보안 부서의 기술 검토 업무가 아니다. 글로벌 시장을 개척하기 위한 기업 생존의 필수 인프라다."</strong></p> <p contents-hash="e9716201a9324d8748353ed290f04039096759f66eb5fe498d4b301e54c6e50f" dmcf-pid="Qr2AcBQ9lT" dmcf-ptype="general">25일 한국정보보호학회(KIISC)가 주관한 '2026 공급망보안 워크숍'에서 KISA 김수민 공급망안전정책팀 선임연구원은 이같이 공급망 보안의 핵심으로 SBOM을 강조하며 이 같이 말했다. 이날 워크숍에서는 과기정통부와 KISA가 8개 기업에 60억 원을 지원한 SBOM 기반 공급망 보안 모델 구축 사업의 성과가 공개됐다.</p> <p contents-hash="40b13570f86621e2648367086a67fb2898f0bbc087c40bf80e62bb2b5fe259b0" dmcf-pid="xmVckbx2lv" dmcf-ptype="general">공급망 보안 모델 구축 사업에 참여한 8개 기업은 평균적으로 89.6% 취약점 감소율을 보였다. 특히 에스트래픽의 경우 LA 메트로 등 해외 수출 규모가 97억원에 달하며, SBOM 체계를 준비하는 것이 수출 경쟁력으로 직결된다는 점을 입증했다.</p> <p contents-hash="32a71105dfffba2ee878d913ca299b405b3607da7fa4ffb23781258073eafc9a" dmcf-pid="yL3Re5qFSS" dmcf-ptype="general">최근 전 세계의 보안 규제 압박은 갈수록 심화되고 있다. 미국은 트럼프 행정부 출범 후 OMB 지침(M-26-05)을 통해 기존 기계 판독형 증빙 방식에서 위험 기반 접근 방식으로 전환했다. 미국 사이버보안·인프라보안국(CISA)도 SBOM 최소 요소를 개정해 단순 목록에서 디지털 증명으로 기준을 올렸다. 실제 코드 작성 주체인 '컴포넌트 개발자(Component Producer)'를 명시하는 것과, 'purl' 및 'CPE' 식별자 의무화, 컴포넌트별 해시 값을 신설했다.</p> <p contents-hash="2693992a0fabfd520a5554a3e6db915d7f35d6351d3fd9d62aeb5344a19e0d5b" dmcf-pid="Wo0ed1B3hl" dmcf-ptype="general">유럽 사이버복원력법(CRA)은 올해 9월 취약점 보고 의무화를 시작으로 2027년 12월 전면 적용된다. 위반 시 과징금은 최대 1500만 유로 또는 전 세계 매출의 2.5%다.</p> <p contents-hash="73adff3d251a1eae7ce08602156572f2e9ff38f918c55a881e7c1ddd5b194368" dmcf-pid="YgpdJtb0Ch" dmcf-ptype="general">KISA의 사업을 통해 공급망 보안 모델을 구현한 기업들은 공통적으로 SBOM 생성을 넘어 운영 체계로 연결했다. 오픈소스 도입 단계부터 CI/CD 파이프라인, 배포 후 모니터링까지 전 주기를 하나의 보안 흐름으로 연결했다.</p> <p contents-hash="855d1b604501e5fafc63b214e842fc252ce38f83a72f48b63f9a5badc1ac074f" dmcf-pid="GaUJiFKpCC" dmcf-ptype="general">개발팀 단독 과제였던 SBOM을 전사 정책으로 격상시키고, 협력사와 고객사까지 공유하는 유통 체계를 갖춘 것도 공통 특징이다. EU CRA·미국 SSDF 등 규제별 요건을 매핑한 118개 항목 자가진단 체크리스트와 80개 SW 개발기업 현장 검증을 거친 56개 항목 SBOM 구성표도 함께 도출됐다.</p> <p contents-hash="ed343629093204b17da6aa61aac07e29b493b2dc8927104c0e1990790b74e3e8" dmcf-pid="HNuin39UCI" dmcf-ptype="general">기업별 SBOM 모델은 업종 특성에 따라 갈렸다. 먼저 우수 사례로 인정받은 에스트래픽은 SSDF 기반 보안 개발 방법론을 전사 정책으로 만들고 깃랩, 젠킨스 파이프라인에 취약점 분석 단계를 내재화했다. 신규 취약점 조치 소요 기간을 7일 이내로 줄였고, 협력사에 보안 컨설팅과 도구를 지원하는 상생 생태계도 구축했다. LA 메트로 사업 등 97억원 규모 해외 수주가 결과로 나왔다.</p> <p contents-hash="0e2b07367eda1bd69fa2f339658c02325391c06a53217dca2ba6493f8ff59866" dmcf-pid="Xj7nL02uvO" dmcf-ptype="general">규제 문턱이 높은 시장일수록 SBOM을 개발 과정 곳곳에 포함시켰다. 의료 분야에서는 자동화가 두드러졌다. 에이아이트릭스는 블랙덕 SCA를 CI 파이프라인에 연계하고 슬랙 실시간 알림을 붙여 FDA 사이버보안 가이드라인 대응 체계를 갖췄다.</p> <p contents-hash="bc6967af806b66e78672b3d2b5ec7907d5f104d261666754bb94dd1f511e0ddc" dmcf-pid="ZAzLopV7ls" dmcf-ptype="general">한드림넷은 제품 기획 단계부터 위협 모델링(TARA)을 적용해 일본 JC-STAR 인증을 따냈다. 인젠트는 SBOM 자동 생성과 오픈소스 승인 절차를 CI/CD에 통합한 데브섹옵스 체계를 구축했다.</p> <p contents-hash="88311acd8a0aa7f50446757e3a37566f07ace0dcbb636e69730d82ba10c7a096" dmcf-pid="5cqogUfzWm" dmcf-ptype="general">망분리·실시간 대응이 관건인 보안 솔루션 기업들은 점검 방식을 정교화했다. 소만사는 소스코드와 바이너리를 동시에 보는 양방향 하이브리드 SBOM 모델로 폐쇄망에 대응했고, 휴네시온은 취약점 예측 지표(EPSS)로 조치 우선순위를 매겨 취약점 93% 감소, 오픈소스 라이선스 위반 98% 제거를 달성했다.</p> <p contents-hash="fe899151b3089902baf440045c284ba0a8fc36698105ccb03880de700d207352" dmcf-pid="1kBgau4qWr" dmcf-ptype="general">성과가 가장 두드러진 곳은 알체라다. 학습 데이터 출처와 모델 아키텍처까지 담은 확장형 SBOM으로 SW 구성요소 식별률 100%를 기록했고, 이를 발판으로 미국 스톡스 로보틱스와 공급 계약을 맺으며 현지 정부 조달 시장에 진입했다.</p> <p contents-hash="eae0fe8be29a30c4864431aaca160e42afcc7ea609f1da05112736e15f094e7e" dmcf-pid="tO4ED9RfSw" dmcf-ptype="general">KISA는 이번 성과를 담은 사례집을 의료·교통·보안·금융 등 산업별 실무 참고서로 배포할 계획이다. 2026년에는 후속 지원사업을 통해 참여 기업 범위를 넓히고, 에스트래픽의 협력사 컨설팅이나 휴네시온의 파트너사 연동처럼 대·중소기업 상생 모델 확산에 무게를 둔다는 방침이다.</p> <p contents-hash="6278a2dc50ecaa9937cfa99936783336cc07c7c8c89e4158aefec2485eb34d7c" dmcf-pid="FI8Dw2e4yD" dmcf-ptype="general">KISA 김수민 공급망안전정책팀 선임연구원은 "개별 기업이 잘 갖춰도 협력사나 오픈소스에서 취약점이 생기면 고스란히 해당 기업 제품의 위험으로 돌아온다"며 "공급망 전반의 보안 수준을 끌어올려야 진정한 의미의 공급망 보안이 완성된다"고 말했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 펜싱 女에페, 아시아선수권 단체전서 2년 만의 金…韓, 이번 대회서 종합 2위 06-25 다음 '치지직'에 몰렸던 남아공戰 기대감…"동접자 500만 육박" 06-25 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
